FI97170C

FI97170C - Förfarande och system för bevisning av äktheten av ackrediteringar och integritetsskyddade meddelanden och markering av meddelanden och en vid förfarandet ifråga användbar station som i synnerhet fingerar som station för intelligenta kort

Info

Publication number: FI97170C
Application number: FI884082A
Authority: FI
Inventors: Louis C Guillou; Jean-Jacques Quisquater
Original assignee: Philips Nv; France Etat; Telediffusion Fse
Priority date: 1987-09-07
Filing date: 1988-09-05
Publication date: 1996-10-25
Also published as: DE3876741D1; KR960008209B1; JPH01133092A; ATE83573T1; FR2620248B1; KR890005634A; DE3876741T2; JP2000358027A; FR2620248A1; CA1295706C; AU2197188A; AU613084B2; EP0311470A1; FI884082A; JP3158118B2; FI884082A0; EP0311470B1; FI97170B; ES2037260T3

Claims

1. Förfarande som inte päverkar identifieringen för autenticering av en ackreditering, 5 a) varvid ackrediteringen har utformats medelst ett förfarande som baserar sig pä en öppen nyckel och som om-fattar följande operationer: - en auktoritet som är berättigad att utdela ackre-diteringar väljer tvä primtal, bildar produkten N av dessa ίο tvä tai, hemlighäller dessa tai, väljer ett heltal p och offentliggör N och p; - för varje innehavare av en ackreditering bildas en numerisk identitet I, som sedan kompletteras med redundans för att bilda ett ord J, som kallas skuggidentitet, is - auktoriteten utformar en ackreditering A genom att ta den p:te roten ur skuggidentiteten i heltalens modulo N ring (A = J1/p mod N) , - auktoriteten lagrar i ett lämpligt organ med ett minne ackrediteringens A inversa modulo N, dvs. ett tai B 20 som kallas invers ackreditering (BPJ mod N=l), varvid detta tai B utgör den ackreditering som skall autenticeras; b) varvid autenticeringen av den pä sä sätt utformade ackrediteringen omfattar en interaktiv och statistisk numerisk process, som inte päverkar identifieringen, och sker 25 mellan ett organ som innehäller en ackreditering och som kallas "den verifierade" och ett autenticeringsorgan som kallas "verifieraren", varvid denna process omfattar ät-minstone en numerisk behandling som omfattar följande kända operationer: 30. den verifierade producerar först slumpmässigt ett heltal r som hör tili heltalens modulo N ring, - den verifierade höjer detta heltal r tili poteneen p modulo N, varvid resultatet kallas en titel T, - den verifierade sänder därefter ätminstone en del av 35 titelns T bitar, It 35 97170 - verifieraren producerar sedan slumpmässigt talet D och anmodar den verifierade att utföra bestämda operationer med r och den inversa ackrediteringen B, varvid dessa operationer hänför sig till det av verifieraren slumpmässigt 5 producerade talet D och utförs i heltalens modulo N ring, - den verifierade sänder till verifieraren ett tai t, som kallas vittne och som är resultatet av dessa operationer, - verifieraren utför i sin tur operationer med det av ίο den verifierade sända vittnet t och den verifierades skugg- identitet J, varvid dessa operationer hänför sig även till det av verifieraren slumpmässigt producerade talet D och utförs i heltalens modulo N ring, - verifieraren jämför det pä sä sätt erhällna resulta-15 tet med titelns T bitar, som den verifierade sände i början av verifikationsprocessen, och bekräftar ackrediteringens autenticitet, ifali den äterfinner dessa bitar, kännetecknat av att: a) i samband med utformningen av ackrediteringen (B) 20 väljs talet p, med hjälp av vilket den p:te roten utdras ur skuggidentiteten (J) , att vara stort, varvid talet omfattar ätminstone cirka tio bitar, b) för autenticeringen av ackrediteringen omfattar processen endast en interaktiv och statistisk behandling 25 som omfattar följande operationer: - talet D som verifieraren producerar slumpmässigt är ett heltal mellan 0 och p-1 (inklusive gränserna), - den operation som den verifierade utför för att sända ett vittne t är produkten av elementet r som den 30 själv har producerat slumpmässigt och den inversa ackrediteringens B D:te potens i heltalens modulo N ring, varvid vittnet är t=r.BD mod N, - de operationer som verifieraren utför är produkten av vittnets t p:te potens och skuggidentitetens J D:te 35 potens i heltalens modulo N ring, dvs. tpJD mod N, 36 97170 - den av verifieraren utförda jämförelseoperationen hänför sig först tili den av den verifierade sända titelns T bitar och tili de bitar som erhällits medelst den före-gäende operationen, varvid autenticeringen av ackrediterin- 5 gen erhälls i en enda behandling genast dä titelns bitar som den verifierade sänt äterfinns av verifieraren medelst expressionen tpJD mod N.

2. Förfarande för autenticering av ett meddelande, varvid meddelandet härstammar fran en sannolikt ackredite-10 rad instruktör, a) varvid instruktörens ackreditering omfattar ett numeriskt ord B som erhälls medelst en öppen nyckel-metod omfattande följande operationer: - en auktoritet som är berättigad att utdela ackre-15 diteringar väljer tvä primtal, bildar produkten N av dessa tvä tai, hemlighäller dessa tvä tai, väljer ett heitai p och offentliggör N och p; - för varje instruktör bildas en numerisk identitet I, som sedan kompletteras med redundans för att bilda ett ord

20 J, som kallas skuggidentitet. - auktoriteten utformar en ackreditering A genom att ta den p:te roten ur skuggidentiteten J i heltalens modulo N ring (A = J1/p mod N) , - auktoriteten lagrar i ett lämpligt organ som in-25 struktören innehar ackrediteringens A inversa modulo N, dvs. talet B som kallas invers ackreditering (BPJ mod N=l) , b) varvid autenticeringen av det meddelande m som den pä detta sätt ackrediterade instruktören sänt omfattar en interaktiv och statistisk numerisk process av dataskyddstyp 30 och sker mellan den sannolikt ackrediterade instruktörens organ som kallas "den verifierade" och ett verifieringsor-gan som kallas "verifieraren", varvid processen omfattar ätminstone en numerisk behandling omfattande följande operationer: 35. den verifierade producerar först slumpmässigt ett II 37 97170 heltal r som hör till heltalens modulo N ring, - den verifierade höjer detta heltal r till potensen p modulo N och kalkylerar resultatet medelst en komprime-ringsfunktion genom att till argument ta meddelandet m och 5 rp mod N, dvs. f (m, rp mod N), varvid resultatet kallas titel T, - den verifierade sänder därefter ätminstone en del av titelns T bitar, - verifieraren producerar sedan slumpmässigt talet D ίο och anmodar den verifierade att utföra bestämda operationer med r och den inversa ackrediteringen B, varvid dessa operationer hänför sig till det av verifieraren slumpmässigt producerade talet D och utförs i heltalens modulo N ring, - den verifierade sänder till verifieraren ett tai t, 15 som kallas vittne och som är resultatet av dessa operationer, - verifieraren utför i sin tur operationer med det av den verifierade sända vittnet t och den verifierades skug-gidentitet J, varvid dessa operationer hänför sig till det 20 av verifieraren slumpmässigt producerade talet D och utförs i heltalens modulo N ring, - verifieraren bildar en komprimeringsfunktion, vars argument utgörs av det meddelande m som skall autenticeras och resultatet av de föregäende operationerna, dvs. f (m, t,

25 J) , - verifieraren jämför det erhällna resultatet av komp-rimeringsfunktionen med titeln T, som den verifierade sände i början av verifikationsprocessen, känneteck-n a t av att 30 a) i samband med utformningen av instruktörens ackre- ditering väljs talet p, som används till att utdra den p:te roten ur skuggidentiten (J), stort, varvid talet omfattar ätminstone cirka tio bitar, b) för autenticeringen av meddelandet omf attar proces-35 sen endast en interaktiv och statistisk behandling (och „ 97170 38 inte en upprepning av en sädan behandling) som omfattar följande operationer: - talet D som verifieraren producerar slumpmässigt är ett heltal mellan 0 och p-1 (inklusive gränserna), 5. den operation som den verifierade utför för att sända ett vittne t är produkten av elementet r som den själv har producerat, och den inversa ackrediteringens B D: te potens i heltalens modulo N ring, varvid vittnet t är t=r.BD mod N, ίο - de operationer som verifieraren utför är produkten av vittne t p:te potens och skuggidentitetens J D:te potens i heltalens modulo N ring, verifieraren bildar komprimeringsfunktionen för meddelandet och för resultatet av de föregäende opera- 15 tionerna, dvs. f(m,tpJD mod/N), - den av verifieraren utförda jämförelsen hänför sig tili resultatet av den av verifieraren erhällna komprimeringsfunktionen och titein T, som den verifierade har sänt tili verifieraren i början av verifieringsprocessen, varvid 20 meddelandets autenticitet har erhällits i en enda behandling genast dä, i slutet av denna behandling, en överens-stämmelse räder mellan bitarna för komprimeringsfunktions-resultatet som verifieraren har erhällit och titelns bitar ♦ som den verifierade har sänt. 25

3. Förfarande för signering av ett meddelande av en sannolikt ackrediterad entitet, a) varvid ackrediteringen för entiteten som signerar meddelanden har erhällits medelst öppen nyckel-metoden som omfattar följande steg: 30. en auktoritet som är berättigad att utdela ackre- diteringar väljer tvä primtal, bildar produkten N av dessa tvä tai, hemlighäller dessa tvä primtal, väljer ett heltal p och offentliggör N och p; - för varje entitet som signerar bildas en numerisk 35 identitet I, som sedan kompletteras med redundans för att K 39 97170 bilda ett ord J, som kallas skuggidentitet, - auktoritet utformar en ackreditering A genom att ta den p:te roten ur skuggidentiten J i heltalens modulo N ring (A = J1/p mod N) , 5. auktoriteten lagrar ackrediteringens A inversa modu lo N, dvs. talet B som kallas invers ackreditering (BPJ mod N=l), i ett lämpligt organ som signeraren innehar, b) varvid signeringen av ett meddelande m av en signe-rare med identitet I omfattar en statistisk numerisk be- 10 handling omfattande följande operationer: - signeraren producerar slumpmässigt ätminstone ett heltal r som hör till heltalens modulo N ring, - signeraren höjer detta heltal r till potensen p modulo N, is - signeraren kalkylerar komprimeringsfunktionens f resultat genom att använda det meddelande m som skall sig-neras och den erhällna potensen rp som argument, - signeraren bildar ätminstone ett vittne t genom att utföra bestämda operationer med r och den inversa ackredi- 20 teringen B, som hänför sig till talet D och som utförs i heltalens modulo N ring, - signeraren sänder meddelandet m, sin identitet I, ordet D och vittnet t, varvid helheten bildar det signerade medde1andet, 25 kännetecknat av att a) i samband med utformningen av signerarens ackredi-teringen väljs talet p, som används till att utdra den p:te roten ur skuggidentiten, stort, varvid talet omfattar flera tiotals bitar; 30 b) för meddelandets signeringsoperation: - producerar signeraren slumpmässigt endast ett heltal r, som hör till heltalens modulo N ring, - är som komprimeringsfunktionens argument meddelandet m och r:s p:te potens, varav talet D erhälls, 35 - är det enda vittnet som signeraren producerar i 40 97170 jjheltalens modulo N ring produkten av heltalet r och den inversa ackrediteringens B D:te potens, - uppger signeraren med meddelandet sin identitet I, ordet D och vittnet t.

4. System som inte päverkar identifieringen för auten- ticering av en ackreditering omfattande: a) organ för utformning av ackrediteringen medelst en metod av öppen nyckel-typ, varvid organen omfattar: - organ hos en auktoritet som är berättigad att utdela ίο ackrediteringar för vai av tvä primtal, för bildande av produkten N av dessa tvä tai, för att halla dessa tvä tai hemliga, för vai av heltalet p och för of f entliggörande av N och p, - organ för bildande av en numerisk identitet I för 15 varje innehavare av en ackreditering och för komplettering av den med redundans för att bilda ett ord J, som kallas skuggidentitet, - organ för utformning av en ackreditering A, varvid organen tar den p: te roten ur skuggidentiteten i heltalens 20 modulo N ring (A = J1/p mod N) , - lämpligt organ omfattande ett minne, i vilket organ ackrediteringens A inversa modulo N lagras, dvs. talet B som kallas invers ackreditering (BPJ mod N=l), varvid detta tai B utgör den ackreditering som skall autenticeras; 25 b) organ för autenticeringen av ackrediteringen, var vid organen omfattar en interaktiv och statistisk numerisk process, som inte päverkar identifieringen, varvid proces-sen sker mellan ett organ som innehäller en ackrediterings-information och som kallas "den verifierade" och ett au-30 tenticeringsorgan som kallas "verif ieraren", varvid organen omfattar: - organ i den verifierade för att slumpmässigt produ-cera ett heltal r som hör tili heltalens modulo N ring, - organ i den verifierade för höjning av detta heltal 35 r till potensen p modulo N, varvid resultatet kallas titel II 97170 41 w T, - organ i den verifierade för sändning av ätminstone en del av titelns T bitar, - organ i verifieraren för att slumpmässigt producera 5 ett tai D och för anmodan av den verifierade att utföra bestämda operationer med r och den inversa ackrediteringen B, varvid dessa operationer hänför sig tili det av veri-fierarens organ slumpmässigt producerade talet D och utförs i heltalens modulo N ring, ίο - organ i den verifierade för sändning av ett tai t, dvs. vittne, som är resultatet av dessa operationer, tili verifieraren, - organ i verifieraren med vilka den i sin tur utför operationer med det av den verifierade sända vittnet t och 15 den verifierades skuggidentitet J, varvid operationerna hänför sig även tili det av verifieraren slumpmässigt producerade talet D och utförs i heltalens modulo N ring, - organ i verifieraren för jämförelse av det pä sä sätt erhällna resultatet med titelns T bitar, som den veri- 20 fierades organ sände i början av verifikationsprocessen, och för bekräfta ackrediteringens autenticitet ifall denne äterfinner dessa bitar, kännetecknat av att: a) i organen för utformningen av ackrediteringen B ; väljer organen för vai av talet p, som används tili att 25 utdra den p:te roten ur skuggidentiteten J, ett stort tai omfattande ätminstone cirka tio bitar, b) i organen för autenticeringen av ackrediteringen kan organen utföra endast en interaktiv och statistisk behandling (och inte en upprepning av en sädan behandling), 30 varvid dessa organ omfattar: - organ sä att talet D som verifieraren producerar slumpmässigt är ett heltal mellan 0 och p-1, inklusive gränserna, - organ i den verifierade för producering av ett vitt- 35 ne t, vilka organ bildar produkten av ett slumpmässigt 42 97170 bildat element r och den inversa ackrediteringen B D:te potens i heltalens modulo N ring, varvid vittnet är t=r.BD mod N, - organ i verifieraren för kalkylering av produkten av 5 den p:te potensen för vittnet t och den D:te potensen för skuggidentiteten J, dvs. tpJD mod N, i heltalens modulo N ring, - organ i verifieraren för jämförelse av den av de verifierades organ sända titelns T bitar och de bitar som ίο erhällits medelst den föregäende operationen, varvid auten-ticeringen av ackrediteringen erhälls i en enda behandling genast da verifieraren äterfinner de av den verifierade sända titelns alla bitar medelst expressionen tpJD mod N.

5. System för autenticering av ett meddelande m, varis vid meddelandet härstammar frän en sannolikt ackrediterad instruktör, varvid systemet omfattar: a) organ som instruktören innehar för bildande av ett numeriskt ord B med öppen nyckelmetoden, varvid dessa organ omfattar: 20. organ hos en auktoritet som är berättigad att utdela ackrediteringar för vai av tvä primtal, bildande av produkten (N) av dessa tvä tai, hemlighällande av dessa tvä tai, vai av ett heltal p och offentliggörande av N och p; ; - organ för bildande av en numerisk identitet I, för 25 varje instruktör och komplettering av den med redundans för att bilda ett ord J, som kallas skuggidentitet, - organ för auktoriteten att utforma en ackreditering A och att ta den p:te rot ur skuggidentiten J i heltalens modulo N ring (A = J1/p mod N) , 30. ett lämpligt organ hos instruktören, varvid auktori teten lagrar i detta organ ackrediteringens A inversa modulo N, dvs. talet B som kallas invers ackreditering (BPJ mod N=1) , b) organ för autenticering av ett meddelande m som 35 sänts av en pä sä sätt ackrediterad instruktör, varvid II 43 97170 organen omfattar organ för utföring av interaktiv och sta-tistisk numerisk process, som inte päverkar identifieringen och som sker mellan en sannolikt ackrediterad instruktörs organ som kallas "den verifierade" och ett verifieringsor-5 gan som kallas "verifieraren", varvid dessa organ omfattar: - organ i den verifierade för att slumpmässigt produ-cera ett heltal r som hör till heltalens modulo N ring, - organ i den verifierade för höjning av detta heltal r till potensen p modulo N och kalkylering av resultatet ίο medelst en komprimeringsfunktion, varvid meddelandet m och rp mod N utgör argumenten, dvs. f (m, rp mod N) , och resultatet kallas titel T, - organ i den verifierade för sändning av ätminstone en del av titelns T bitar, is - organ i verifieraren för att slumpmässigt producers ett tai D och anmoda den verifierades organ att utföra bestämda operationer med r och den inversa ackrediteringen B, varvid dessa operationer hänför sig tili det av verifieraren slumpmässigt producerade talet D och utförs i 20 heltalens modulo N ring, - organ i den verifierade för sändning av ett tai t, dvs. vittne, som är resultatet av dessa operationer, tili verifieraren ; - organ i verifieraren med vilka organ verifieraren i 25 sin tur utför operationer med det av den verifierades organ sända vittnet t och den verifierades skuggidentitet J, varvid operationerna hänför sig även tili det av verifieraren slumpmässigt producerade talet D och utförs i heltalens modulo N ring, 30. organ i verifieraren för att bilda en komprime ringsfunktion genom att som argument använda meddelandet m som skall autenticeras och resultatet av de föregäende operationerna, dvs. f(m, t, J), - organ i verifieraren för jämförelse av den erhällna 35 komprimeringsfunktionen med titeln T, som den verifierade 44 97? 70 sände i början av verifikationsprocessen, kännetecknat av att: a) i organen för utformningen av instruktörens ackre-ditering väljs talet p, som används tili att utdra den p:te 5 roten ur skuggidentiteten, stort, varvid det som omfattar ätminstone cirka tio bitar, b) i organen för autenticeringen av meddelandet kan organen utföra en process som omfattar endast en interak-tiv, statistisk behandling (och inte en upprepning av en ίο Seidan behandling), varvid dessa organ omfattar: - organ i verifieraren för att slumpmässigt producera ett heltal mellan 0 och p-1, inklusive gränserna, som ett tai D, - organ i den verifierade för att bilda ett vittne t, 15 som är produkten av elementet r som den verifierade själv har bildat och den inversa ackrediteringens B D:te potens i heltalens modulo N ring, varvid vittnet är r.B° mod N, - organ i verifieraren för bildande av produkten av vittnets t p:te potens och skuggidentitetens J D.-te potens 20. heltalens modulo N ring, - organ i verifieraren för bildande av komprimerings-funktionen för meddelandets och de föregäende operationer-nas f (m, tp, JD mod N) , i - jämförelseorgan i verifieraren som hänför sig tili 25 resultatet av den komprimeringsfunktionen som erhällits med verifierarens organ och titeln T som sänts med den veri-fierades organ till verifieraren i början av verifikationsprocessen, varvid autenticeringen av meddelandet ästadkoms i en enda behandling genast dä, i slutet av denna behand-30 ling, en överensstämmelse räder mellan alla bitar för komp-rimeringsfunktionsresultatet som verifieraren erhällit och titelns bitar som den verifierade har sänt.

6. System för signering av ett meddelande av en sanno-likt ackrediterad entitet, varvid systemet omfattar: 35 a) organ för utformning av den signerande entitetens li 45 97170 ackreditering, varvid dessa organ utför en öppen nyckel-metod och omfattar: - organ hos en auktoritet som är berättigad att utdela ackrediteringar för vai av tvä primtal, bildande av produk- 5 ten N av dessa tvä tai, hemlighällande av dessa tai, vai av ett heltal p och offentliggörande av N och p; - organ för bildande av en numerisk identitet I för varje signerande entitet och komplettering med redundans för att bilda ett ord J, som kallas skuggidentitet, ίο - organ för utformning av en ackreditering A av en auktoritet och tagning av den p:te roten ur skuggidentite-ten J i heltalens modulo N ring (A = J1/p mod N) , - organ som signeraren innehar och i vilket auktorite-ten kan lagra ackrediteringens A inversa modulo N, dvs. 15 talet B som kallas invers ackreditering (BPJ mod N=l) , b) organ för utformning av signeringen av ett medde-lande m av en signerare med identiteten I, varvid organen omfattar: - organ hos signeraren för att slumpmässigt producera 20 ätminstone ett heltal r som hör tili heltalens modulo N ring, - organ hos signeraren för höjning av detta heltal r till potensen p modulo N, '· - organ hos signeraren för kalkylering av resultatet 25 av en komprimeringsfunktion f, varvid det meddelande m som skall signeras och den erhällna potensen rp tas som argument , - organ hos signeraren för utformning av ätminstone ett vittne t pä sd sätt att bestämda operationer med r och 30 den inversa ackrediteringen B utförs, varvid dessa operationer hänför sig tili det slumpmässigt producerade talet D och utförs i heltalens modulo N ring, - organ hos signeraren för sändning av meddelandet m, signerarens identitetet I, ordet D och vittnet t, varvid 35 helheten bildar ett signerat meddelande, 46 97170 kännetecknat av att a) i organen för utformningen av signerarens ackredi-tering väljer organen för vai av talet p, som används tili att utdra den p:te roten ur skuggidentiteten, ett stort tai 5 som omfattar flera tiotals bitar, b) i organen för utföring av signeringen av meddelan- det: - bildar signerarens organ slumpmässigt endast ett heltal r som hör till heltalens modulo N ring, ίο - fungerar komprimeringorganen med argument som är meddelandet m och den p:te potensen av r, varav ett tai D erhälls som resultat, - bildar organen, med vilka signeraren bildar ett enda vittne, i heltalens modulo N ring produkten av heltalet r 15 och den inversa ackrediteringens B D:te potens, - ger signerarens organ med meddelandet m, sin identi-tet I, ordet D och vittnet t. « II